10月27日GitHub新建仓库榜上齐刷刷冒出三个AI工具官方下载仓Cursor-AI-Download67★、Claude-Desktop-Download64★、hexstrike-ai-pc67★。名字像官网星数像热门README写得比真官网还贴心。它们全是假的。这个专栏追了一路的投毒面——从skills市场的恶意技能到Gheist往CI里种workflow——这一次又往外扩了一圈攻击者连下载渠道本身都开始伪造。我把这三个仓拆开做了全链路静态解剖不下载也不执行不访问目标链接照样把同一行动者的指纹和基础设施扒了出来。下面是全部数据。一天11个品牌冒充成了流水线先交代怎么抓到它们的。10月27日当天GitHub全站新建的、名字里带download的仓库有460个绝大多数是benign正常的下载镜像、个人工具。但按两个模式过滤冒充集群立刻显形。**模式一组织名与仓库名同义复读orgrepo。**新建组织组织下唯一一个仓库仓库名就是品牌名加Download。当天命中7个Grok-Download、Codex-Desktop-Download、Meta-AI-Download、Claude-Desktop-Download、Google-Gemini-Download、Hexstrike-Ai-download外加一个Cisco的Webex-s-Download——冒充面不止AI凡是有下载需求的品牌都在名单上。**模式二-tools后缀的一次性组织。**crsr-tools、cld-tools、hex-tools、wbx-tools组织名是品牌缩写创建日期全部是10月27日旗下仅一仓。其中wbx-tools/Cisco-Webex-Download星数为0说明这条流水线还没给所有仓配刷量套餐。还有一个10月23日建的ai-subscription-guide组织下面躺着4个仓chatgpt-download-、ChatGPT-download-Windows-Mac-、create-account-for-chatgpt、create-claude-account——从下载延伸到代注册链路做全套。合计单日可确认的品牌冒充仓不少于11个覆盖OpenAI、Anthropic、xAI、Google、Meta、Cisco六个品牌。解剖一个仓库的三层皮挑crsr-tools/Cursor-AI-Download做主样本逐层拆。**第一层皮README是SEO模板。**开头一张「 DOWNLOAD YOUR COPY」大横幅紧接着是GitHub Pages链接crsr-tools.github.io/Cursor-AI-Download/再往下是盗用的官方界面截图和一段写得相当漂亮的文案。文案不是复制粘贴的——Cursor版讲的是编辑器不懂你的痛点Claude版换成周五下午被legacy bug缠住的场景。按品牌定制话术批量模板做不到这个颗粒度AI生成可以。**第二层皮Pages站点是一页俄语跳转。**那个Pages链接背后只有一个1249字节的index.html。内容是一个函数名数组每个函数体逐字符混淆——\x68这类十六进制转义和String.fromCharCode混着用人眼读不出任何完整字符串。解码后只做一件事window.location.replace跳到https://vergen.click/s/crypto。**第三层皮终点域名已经死了。**对vergen.click做被动侦察只查DNS记录和公开扫描档案不发业务请求解析到45.59.125.3一台nginx现在只会302到beget.com/ru/404——Beget是俄罗斯托管商这个404是它家托管账号已关停的标准页。urlscan.io的公开档案里这个域名零记录新鲜注册24小时内撤离。仓库10月27日建成落地页10月28日已成停尸间。归因三个仓同一双手单个仓可以说是巧合Git的对象模型不留这个借口。三个仓的index.htmlblob shaGit按内容逐字节算出的对象哈希完全相同9b004132a999。三个不同组织、不同品牌、不同README的仓库跳转页连一个比特都没改过。这不是互相抄作业是同一条流水线出来的同一批货。更有意思的是差异化的地方两仓盗用的官方截图blob sha不同。这条流水线知道哪些文件该换皮截图按品牌换哪些文件懒得换跳转逻辑通用——跳转域名是统一的收款码换它才要成本。辅助证据链三个组织全部10月27日创建每个组织仅此一仓星数67/64/67咬得死紧。星数从哪来间接证据已经足够一个自然成长的仓库星数落在60~70这个窄带且三仓同日齐平的概率我不打算用运气解释。stargazers接口抽样验证这条路我走到了一半GitHub匿名接口限流每小时60次当天配额在枚举冒充集群时打满没拿到三仓的star用户列表。这是本次实测唯一没闭环的环节如实交代。但间接证据不缺。同日新建榜上还有一个DLSS-5-Swaper-New/.github仓内容只有4KB的组织自述仓创建3小时冲到327★——蹭的是gpu-unlock-ada两天1700★带起来的硬件解锁情绪。刷量基础设施是现成的换皮只要一天。三个假安装包仓的星数一致性和这个3小时327★是同一套基础设施的不同皮肤。对刷量仓来说星数不是虚荣指标是搜索排序的入场券GitHub搜索结果默认按相关度排star是相关度的最大权重之一。假官网要骗的就是搜Cursor下载然后点第一个结果的那个人。防御给四种角色的清单数据说完了落到行动。**普通用户一条官方下载页只有一个来源就是官网。**GitHub上的XX-Download仓哪怕星数上千、README精美、截图和官网一样也先问一句官网为什么要把下载托管在一个上周才注册的组织名下**品牌方两条。**其一把GitHub搜索当品牌监测渠道用download in:name加品牌词每天一次接口轮询冒充仓的组织名和仓库名都直白得很检出没有技术难度。其二发现即报abuse。本次样本里vergen.click在24小时内死亡说明托管商的处置通道是通的整条链上最慢的环节一直是发现。**平台方一条blob sha聚类是现成的检测原语。**同一blob sha出现在多个当日新建的单仓组织里这个信号不用任何机器学习一条SQL就出名单。本次实测我用公开接口手工完成了这个聚类平台侧做这个只会更容易。**安全研究员一条静态加被动侦察能走完全程。**本次没有执行任何恶意载荷没有访问目标链接接口元数据加DNS加公开扫描档案足够完成归因。碰到可疑仓先别急着点GitHub的trees接口能看到全部文件哈希这是最低成本的同源性比对。写在最后这个专栏的实测线在往一个方向收敛skills投毒审的是装什么Gheist审的是跑什么这一次审的是从哪下载。攻击者不需要攻破GitHub他们只需要使用GitHub——搜索排序、Pages托管、star体系每一样都是现成的攻击杠杆。窗口的判断依据还是那条发现的成本在降11个仓一天就能被一个业余研究者手工枚举完治理的动作在提速域名24小时内死亡。但冒充集群的换皮速度已经缩到天级谁先跑完这个循环谁就赢。数据核验说明侦察方式GitHub REST API匿名搜索、repos、git/trees、git/blobs接口、DNS解析、HTTP HEAD、urlscan.io公开档案全程未下载未执行任何恶意载荷未向vergen.click发起业务请求三仓身份crsr-tools/Cursor-AI-Download67★、cld-tools/Claude-Desktop-Download64★、hex-tools/hexstrike-ai-pc67★创建时间均为2026年10月27日各组织仅此一仓同源证据三仓index.html的blob sha均为9b004132a999前缀文件大小1249字节README盗用截图两仓blob sha不同集群枚举口径10月27日全站download in:name新建460仓orgrepo模式命中7个-tools模式命中4个ai-subscription-guide组织4仓建于10月23日计入集群不计入10月27日单日vergen.clickA记录45.59.125.3HEAD返回nginx302指向beget.com/ru/404Beget托管账号关停页urlscan.io零历史记录stargazers抽样未完成GitHub匿名限流每小时60次在集群枚举阶段耗尽星数造假结论基于三仓同日67/64/67一致性以及DLSS-5-Swaper-New/.github创建3小时327★的间接证据全部接口原始响应、解码脚本与侦察日志留档于ai-lab仓库复现指引配套脚本在ai-lab仓库的2026-10-28-fake-ai-installer目录probe_fake.py一个文件走完全程——搜索冒充集群、枚举组织仓库、拉trees比对blob sha、解码index.html混淆、域名被动侦察。零token可跑匿名限流内完成。相关阅读我在自己的仓库里种了个毒 workflowCI 供应链攻击实测2300 个插件没人把关DSH 插件市场实测——供应链审计视角的入口篇腾讯 AI-Infra-Guard 实测——把供应链扫描做成平台工具的另一条路day-trader-skill 实测——skill 形态的 fail-closed 设计参考博客导航文全部实测文章索引